CN110493179B - 基于时间序列的网络安全态势感知系统和方法 - Google Patents

Abstract

本发明公开了一种基于时间序列的网络安全态势感知系统和方法，该模型包括：数据预处理模块、态势分析模块和态势预测模块；该方法包括：首先采集不同来源的数据集，提取数据中的主成分信息，并利用D‑S证据理论对主成分数据进行融合分析，然后在漏洞威胁的基础上添加了资产重要性，得到了网络的安全态势值，最后根据不同情况，或者选择基于傅里叶曲线拟合的感知算法来预测未来时间段的态势值，绘制网络安全态势预测曲线；或者选择基于曲线轮廓相似性的感知算法，来预测未来时间段的态势值。本发明使得网络安全态势的预测更加准确、方便、有效和合理，同时通过网络安全态势预测图更能清晰、直观的反映未来一段时间内的网络安全态势。

Description

基于时间序列的网络安全态势感知系统和方法

技术领域

本发明涉及计算机网络安全领域，具体涉及一种基于时间序列的网络安全态势感知系统和方法。

背景技术

随着计算机网络的快速发展，网络攻击事件逐年增多，网络安全问题也成为人们当前关注的焦点，通常对网络安全态势进行预测，可以在网络攻击事件发生前掌握网络的安全状态，从而采取相应的防护措施，避免遭受不必要的攻击和损失。

但是，对于网络安全态势的研究，国内起步较晚，大多为网络威胁量化过程和入侵检测过程的研究，只能分析过去或当前的网络安全态势，无法进行网络安全态势的预测，而且有少数的预测模型，也只能适用于特定的标准体系和应用场景，特别是对于一些安全漏洞库网站公布的漏洞预警信息，由于具有高度的随机性和离散性，且符合时间序列的特性，从而造成普通的态势分析模型只能根据统计方法得到某些属性的分布状况，分析当前的网络安全状态，但无法进行有效、合理的态势预测。

发明内容

针对现有技术中存在的缺陷，本发明的目的在于提供一种基于时间序列的网络安全态势感知系统和方法，其主要是利用轮廓匹配算法和傅里叶拟合算法实现的；通过对大量漏洞信息进行分类统计，绘制网络安全态势图，利用历史时间段的网络安全态势来预测未来时间段的网络态势值，绘制网络安全态势预测图，从而进行有效、合理的网络安全态势预测。

为实现上述目的，本发明提供的技术方案是：

一种基于时间序列的网络安全态势感知系统，包括数据预处理模块、态势分析模块和态势预测模块，其中：

所述数据预处理模块，用于收集不同来源的数据集，提取影响网络安全态势的主成分数据，将其通过数据融合技术得到系统中主机的漏洞威胁值，并按照漏洞类型分类，得到主机中每类漏洞的威胁值；

所述态势分析模块，用于根据提取的设备资产信息进行评估，利用设备的安全类型、主机连接数量和隐私数据量计算其在网络中的重要性，然后结合数据融合得到的漏洞威胁值，计算整体网络的安全态势值，并根据时间节点的划分得到网络安全态势值序列，绘制网络安全态势曲线；

所述态势预测模块，用于根据得到的网络安全态势值序列和态势曲线，当要求计算误差小时，选择基于傅里叶曲线拟合的感知算法，来预测未来时间段的态势值，绘制网络安全态势预测曲线，以及相应的预测误差曲线和态势均值曲线；当计算时间要求短时，选择基于曲线轮廓相似性的感知算法来预测未来时间段的态势值。

在上述模型中，所述数据预处理模块包括数据采集子模块、数据主成分提取子模块和数据融合处理子模块，具体的：

所述数据采集子模块，用于采集包含漏洞数据、系统运行数据、攻击事件数据和资产数据的这四类不同来源的数据集；

其中，漏洞数据可通过爬虫的方式从CNNVD、CNVD和CVE等网站采集得到；系统运行数据可由系统主机的日志信息中得到；攻击事件数据可从IDS、防火墙和交换机等设备的日志信息中得到；资产数据是指网络系统中的硬件设备信息和用户资料信息；

所述数据主成分提取子模块，用于从漏洞数据、系统运行数据、攻击事件数据和资产数据中提取对网络安全态势分析有用的主成分数据，以提升算法效率，减小模型计算负担；

其中，从漏洞数据中提取漏洞的名称、编号、类型、发布时间、影响设备、威胁等级和商家补丁信息；从系统运行数据中提取IP、端口、协议、指令和网络数据量信息；从攻击事件数据中提取攻击的时间、类型、平台、行为和漏洞利用信息；从资产数据中提取设备的类型、连接数和其中的隐私数据量；

所述数据融合处理子模块，用于根据提取的主成分数据类型的不同，取值范围的不同，将各类型数据的取值数值化和归一化，并利用D-S证据理论对数据集进行融合处理，计算某一漏洞对网络中主机等设备的威胁程度，即漏洞威胁值。

基于时间序列的网络安全态势感知方法，具体包括以下步骤：

S1、收集不同来源的数据集，提取影响网络安全态势的主成分数据，将其通过数据融合技术得到系统中主机的漏洞威胁值，并按照漏洞类型分类，得到主机中每类漏洞的威胁值；

S2、根据设备的资产信息进行评估，利用设备的安全类型、主机连接数量和隐私数据量计算其在网络中的重要性

然后结合数据融合得到的漏洞威胁值E_vi，计算整体网络N的安全态势值E，并根据时间节点的划分得到网络安全态势值序列，绘制网络安全态势曲线，安全态势值E的计算公式为；

其中，H_k主机连接数量；

S3、根据得到的网络安全态势值序列和态势曲线，当要求计算误差小时，选择基于傅里叶曲线拟合的感知算法来预测未来时间段的态势值，绘制网络安全态势预测曲线，以及相应的预测误差曲线和态势均值曲线；当对于计算时间要求较短时，选择基于曲线轮廓相似性的感知算法来预测未来时间段的态势值。

在上述方法中，所述步骤S1具体包括以下步骤：

S101、采集包含漏洞数据、系统运行数据、攻击事件数据和资产数据的这四类不同来源的数据集；其中，漏洞数据可通过爬虫的方式从CNNVD、CNVD和CVE等网站采集得到；系统运行数据可由系统主机的日志信息中得到；攻击事件数据可从IDS、防火墙和交换机等设备的日志信息中得到；资产数据是指网络系统中的硬件设备信息和用户资料信息；

S102、从漏洞数据、系统运行数据、攻击事件数据和资产数据中提取对网络安全态势分析有用的主成分数据，以提升算法效率，减小模型计算负担；其中，从漏洞数据中提取漏洞的名称、编号、类型、发布时间、影响设备、威胁等级和商家补丁信息；从系统运行数据中提取IP、端口、协议、指令和网络数据量信息；从攻击事件数据中提取攻击的时间、类型、平台、行为和漏洞利用信息；从资产数据中提取设备的类型、连接数和其中的隐私数据量；

S103、根据提取的主成分数据类型的不同，取值范围的不同，将各类型数据的取值数值化和归一化，并利用D-S证据理论对数据集进行融合处理，计算某一漏洞对网络中主机等设备的威胁程度，即漏洞威胁值。

在上述方法中，所述步骤S103具体包括以下步骤：

S103a、针对某一漏洞V_i，根据提取的其主成分信息和主机H_k的运行状态信息建立攻防博弈矩阵，得到该漏洞对主机H_k的静态严重性分值S_i，再结合预先规定的该类型漏洞的威胁标准值S，计算漏洞V_i的静态严重性证据S_vi，计算公式为：

S103b、从提取的攻击事件主成分数据中获得一段时间内主机H_k上，被利用漏洞V_i进行攻击的事件数量A_i，统计该时间段内主机H_k产生的总攻击事件数量A，计算主机H_k的攻击信息证据A_vi，计算公式为：

S103c、根据D-S证据理论的识别框架进行证据合成，得到漏洞V_i的威胁值E_vi，E_vi越大表明漏洞V_i对主机H_k的威胁越大，主机越不安全，E_vi的计算公式为：

其中，A_vi为计算主机H_k的攻击信息证据，S_vi为漏洞V_i的静态严重性证据。

在上述方法中，所述步骤S3中，当要求计算误差小时，选择基于傅里叶曲线拟合的感知算法，即先通过网络安全态势值序列来计算出一条最大拟合程度的傅里叶曲线，然后再利用该曲线的表达式计算未来时间段的态势值的算法，其具体包括以下步骤：

S301、设定时间序列的间隔t，比如以天、周或月为时间间隔，对一年的时间序列进行划分；

S302、以t为单位统计网络安全态势值，形成以时间间隔点为横坐标，网络安全态势值为纵坐标的坐标点数组；

S303、根据时间间隔t内坐标的数量计算傅里叶拟合的级数n，利用计算机软件进行傅里叶曲线拟合，得到拟合参数a₀，a₁，b₁，…，a_n，b_n和w，从而确定傅里叶拟合公式：

f(x)＝a₀+a₁cos(wx)+b₁sin(wx)+…+

a_ncos(nwx)+b_nsin(nwx)

S304、以未来的时间点为横坐标x，利用傅里叶拟合公式计算得到未来时间点的态势预测值，将所有时间点的态势预测值连接，绘制网络安全态势预测曲线，以及相应的预测误差曲线和态势均值曲线。

在上述方法中，所述步骤S3中，当对于计算时间要求较短时，选择基于曲线轮廓相似性的感知算法，即先通过网络安全态势曲线的形状轮廓来找到最相似的两部分样本数据，然后再进行预测未来时间段态势值的一种算法，其具体包括以下步骤：

S311、设定时间t，即态势曲线的横坐标间距，根据实际的网络安全态势曲线计算态势序列每个时间间隔t内的曲线片段的梯度，建立梯度表，存储曲线片段的坐标和梯度，梯度计算公式为：

其中，t为时间间隔，e为时间间隔t内的态势值变化量，g为态势曲线梯度；

S312、设定曲线匹配的时间间隔T，T大于时间序列的间隔t，且大小是t的正整数倍，根据实际的曲线长度确定合适的匹配时间间隔T，取T_i内坐标数据为样本数据f_i；

S313、使用梯度匹配算法将样本数据f_i的态势曲线L_i与总时间序列的态势曲线L进行匹配，找到匹配度最高的曲线为L_j；

S314、选取曲线L_j下一时间间隔T内的曲线L_j+1为预测曲线，即L_j+1为待测样本f_i的态势预测曲线，得到相应的态势预测值；

在上述方法中，所述步骤S313中，在使用梯度匹配算法时，其具体方法为：

先利用梯度匹配算法进行样本曲线与总态势曲线的匹配，然后采取从后到前的匹配策略，每次匹配一个曲线片段，并从梯度表中寻找与样本曲线梯度差最小的曲线片段，直至匹配到样本首部，最后将上述曲线片段组合，从中选取总误差最小的完整曲线作为与样本曲线相似度最高的匹配结果。

本发明提供的基于时间序列的网络安全态势感知系统的工作原理为：首先采集不同来源的数据集，提取这些数据中用于态势感知的主成分信息，并利用D-S证据理论对提取的主成分信息数据进行了融合分析，然后在漏洞威胁的基础上添加了资产重要性，得到了网络的安全态势值，最后根据不同情况，当要求计算误差小时，选择基于傅里叶曲线拟合的感知算法来预测未来时间段的态势值，绘制网络安全态势预测曲线，以及相应的预测误差曲线和态势均值曲线；当计算时间要求短时，选择基于曲线轮廓相似性的感知算法来预测未来时间段的态势值。

与现有技术相比，本发明的优点为：

通过对大量漏洞信息进行分类统计，提取用于态势感知的主成分信息，融合计算后绘制网络安全态势图，利用历史时间段的网络安全态势预测未来时间段的网络态势值，绘制网络安全态势预测图，并根据不同的情况选择不同的计算方法，使得网络安全态势的预测更加准确、方便、有效和合理，同时通过网络安全态势预测图更能清晰、直观的反映未来一段时间内的网络安全态势。

附图说明

图1为本发明基于时间序列的网络安全态势感知系统的示意图；

图2为本发明基于时间序列的网络安全态势感知方法的流程图。

具体实施方式

以下结合附图及实施例对本发明作进一步详细说明。

参阅图1所示，本发明提供的基于时间序列的网络安全态势感知系统，其包括数据预处理模块1、态势分析模块2和态势预测模块3，其中：

数据预处理模块1，用于收集不同来源的数据集，提取影响网络安全态势的主成分数据，将其通过数据融合技术得到系统中主机的漏洞威胁值，并按照漏洞类型分类，得到主机中每类漏洞的威胁值；

态势分析模块2，用于根据提取的设备资产信息进行评估，利用设备的安全类型、主机连接数量和隐私数据量计算其在网络中的重要性，然后结合数据融合得到的漏洞威胁值，计算整体网络的安全态势值，并根据时间节点的划分得到网络安全态势值序列，绘制网络安全态势曲线；

态势预测模块3，用于根据得到的网络安全态势值序列和态势曲线，当要求计算误差小时，选择基于傅里叶曲线拟合的感知算法，来预测未来时间段的态势值，绘制网络安全态势预测曲线，以及相应的预测误差曲线和态势均值曲线；当计算时间要求短时，选择基于曲线轮廓相似性的感知算法来预测未来时间段的态势值。

更具体的说，在本发明态势感知模型实施例中，数据预处理模块1包括数据采集子模块1.1、数据主成分提取子模块1.2和数据融合处理子模块1.3，具体的：

数据采集子模块1.1，用于采集包含漏洞数据、系统运行数据、攻击事件数据和资产数据的这四类不同来源的数据集；

其中，漏洞数据可通过爬虫的方式从CNNVD、CNVD和CVE等网站采集得到；系统运行数据可由系统主机的日志信息中得到；攻击事件数据可从IDS、防火墙和交换机等设备的日志信息中得到；资产数据是指网络系统中的硬件设备信息和用户资料信息；

数据主成分提取子模块1.2，用于从漏洞数据、系统运行数据、攻击事件数据和资产数据中提取对网络安全态势分析有用的主成分数据，以提升算法效率，减小模型计算负担；

其中，从漏洞数据中提取漏洞的名称、编号、类型、发布时间、影响设备、威胁等级和商家补丁信息；从系统运行数据中提取IP、端口、协议、指令和网络数据量信息；从攻击事件数据中提取攻击的时间、类型、平台、行为和漏洞利用信息；从资产数据中提取设备的类型、连接数和其中的隐私数据量；

数据融合处理子模块1.3，用于根据提取的主成分数据类型的不同，取值范围的不同，将各类型数据的取值数值化和归一化，并利用D-S证据理论对数据集进行融合处理，计算某一漏洞对网络中主机等设备的威胁程度，即漏洞威胁值。

参阅图1所示，本发明实施例中提供的基于时间序列的网络安全态势感知方法，具体包括以下步骤：

S1、收集不同来源的数据集，提取影响网络安全态势的主成分数据，将其通过数据融合技术得到系统中主机的漏洞威胁值，并按照漏洞类型分类，得到主机中每类漏洞的威胁值；

S2、根据设备的资产信息进行评估，利用设备的安全类型、主机连接数量和隐私数据量计算其在网络中的重要性

然后结合数据融合得到的漏洞威胁值E_vi，计算整体网络N的安全态势值E，

其中，H_k主机连接数量；

并根据时间节点的划分得到网络安全态势值序列，绘制网络安全态势曲线；

S3、根据得到的网络安全态势值序列和态势曲线，当要求计算误差小时，选择基于傅里叶曲线拟合的感知算法来预测未来时间段的态势值，绘制网络安全态势预测曲线，以及相应的预测误差曲线和态势均值曲线；当计算时间要求短时，选择基于曲线轮廓相似性的感知算法来预测未来时间段的态势值。

更具体的说，在本发明态势感知方法中，步骤S1的具体步骤为：

S101、采集包含漏洞数据、系统运行数据、攻击事件数据和资产数据的这四类不同来源的数据集；其中，漏洞数据可通过爬虫的方式从CNNVD、CNVD和CVE等网站采集得到；系统运行数据可由系统主机的日志信息中得到；攻击事件数据可从IDS、防火墙和交换机等设备的日志信息中得到；资产数据是指网络系统中的硬件设备信息和用户资料信息；

S102、从漏洞数据、系统运行数据、攻击事件数据和资产数据中提取对网络安全态势分析有用的主成分数据，以提升算法效率，减小模型计算负担；其中，从漏洞数据中提取漏洞的名称、编号、类型、发布时间、影响设备、威胁等级和商家补丁信息；从系统运行数据中提取IP、端口、协议、指令和网络数据量信息；从攻击事件数据中提取攻击的时间、类型、平台、行为和漏洞利用信息；从资产数据中提取设备的类型、连接数和其中的隐私数据量；

S103、根据提取的主成分数据类型的不同，取值范围的不同，将各类型数据的取值数值化和归一化，并利用D-S证据理论(Dempster/Shafer证据理论，作为一种不确定推理方法)对数据集进行融合处理，计算某一漏洞对网络中主机等设备的威胁程度，即漏洞威胁值。

更具体的说，本发明态势感知方法中，步骤S103的具体步骤为：

S103a、针对某一漏洞V_i，根据提取的其主成分信息和主机H_k的运行状态信息建立攻防博弈矩阵，得到该漏洞对主机H_k的静态严重性分值S_i，再结合预先规定的该类型漏洞的威胁标准值S，计算漏洞V_i的静态严重性证据S_vi，计算公式为：

S103b、从提取的攻击事件主成分数据中获得一段时间内主机H_k上，被利用漏洞V_i进行攻击的事件数量A_i，统计该时间段内主机H_k产生的总攻击事件数量A，计算主机H_k的攻击信息证据A_vi，计算公式为：

S103c、根据D-S证据理论的识别框架进行证据合成，得到漏洞V_i的威胁值E_vi，E_vi越大表明漏洞V_i对主机H_k的威胁越大，主机越不安全，E_vi的计算公式为：

其中，A_vi为计算主机H_k的攻击信息证据，S_vi为漏洞V_i的静态严重性证据。

更具体的说，在本发明态势感知方法中，步骤S3中，当要求计算误差小时，选择基于傅里叶曲线拟合的感知算法，即先通过网络安全态势值序列来计算出一条最大拟合程度的傅里叶曲线，然后再利用该曲线的表达式计算未来时间段的态势值的算法，其具体包括以下步骤：

S301、设定时间序列的间隔t，比如以天、周或月为时间间隔，对一年的时间序列进行划分，例如：以月为时间间隔的话，一个月的数据点有10到12个，选择的傅里叶级数为4；

S302、以t为单位统计网络安全态势值，形成以时间间隔点为横坐标，网络安全态势值为纵坐标的坐标点数组；

S303、根据时间间隔t内坐标的数量计算傅里叶拟合的级数n，利用计算机软件进行傅里叶曲线拟合(计算机软件例如：Matlab软件中的拟合函数fit)，得到拟合参数a₀，a₁，b₁，…，a_n，b_n和w，从而确定傅里叶拟合公式：

f(x)＝a₀+a₁cos(wx)+b₁sin(wx)+…+

a_ncos(nwx)+b_nsin(nwx)

S304、以未来的时间点为横坐标x(除了起始的4个点，少于4个点无法拟合傅里叶曲线)，利用傅里叶拟合公式计算得到未来时间点的态势预测值，将所有时间点的态势预测值连接，绘制网络安全态势预测曲线，以及相应的预测误差曲线和态势均值曲线。

更具体的说，在本发明态势感知方法中，步骤S3中，当对于计算时间要求较短时，选择基于曲线轮廓相似性的感知算法，即先通过网络安全态势曲线的形状轮廓来找到最相似的两部分样本数据，然后再预测未来时间段态势值的一种算法，其具体包括以下步骤：

S311、设定时间t，即态势曲线的横坐标间距，可以以天、周或月为时间间隔，根据实际的网络安全态势曲线计算态势序列每个时间间隔t内的曲线片段的梯度，建立梯度表，存储曲线片段的坐标和梯度，梯度计算公式为：

其中，t为时间间隔，e为时间间隔t内的态势值变化量，g为态势曲线梯度；

S312、设定曲线匹配的时间间隔T，T大于时间序列的间隔t，且大小是t的正整数倍，其中：T越大，匹配过程越复杂，匹配成功的概率越低，但匹配成功后的预测结果越准确，需要根据实际的曲线长度确定合适的匹配时间间隔T，取T_i内坐标数据为样本数据f_i；

S313、使用梯度匹配算法将样本数据f_i的态势曲线L_i与总时间序列的态势曲线L进行匹配，找到匹配度最高的曲线为L_j；

S314、选取曲线L_j下一时间间隔T内的曲线L_j+1为预测曲线，即L_j+1为待测样本f_i的态势预测曲线，得到相应的态势预测值；

更具体的说，在本发明态势感知方法中，步骤S313中，在使用梯度匹配算法时，其具体方法为：

先利用梯度匹配算法进行样本曲线与总态势曲线的匹配，然后采取从后到前的匹配策略，每次匹配一个曲线片段，并从梯度表中寻找与样本曲线梯度差最小的曲线片段，直至匹配到样本首部，最后将上述曲线片段组合，从中选取总误差最小的完整曲线作为与样本曲线相似度最高的匹配结果。

本发明提供了两种算法来实现基于时间序列的网络安全态势感知，其中基于傅里叶曲线拟合的感知算法计算比较复杂，耗时较大，但拟合效果较好，能够以较小的误差拟合到所有的数据点，而且傅里叶函数的拟合效果与傅里叶级数n有关，n越大，拟合效果越好，但计算也越复杂，所以选取合适的n是该算法拟合效果的关键；基于曲线轮廓相似性的感知算法拟合效果好，计算时间快，但会出现找不到最佳匹配曲线的结果，需要人为设置最短的匹配曲线。

本发明提供的基于时间序列的网络安全态势感知系统的工作原理为：首先采集不同来源的数据集，提取这些数据中用于态势感知的主成分信息，并利用D-S证据理论对提取的主成分信息数据进行了融合分析，然后在漏洞威胁的基础上添加了资产重要性，得到了网络的安全态势值，最后根据不同情况，当要求计算误差小时，选择基于傅里叶曲线拟合的感知算法来预测未来时间段的态势值，绘制网络安全态势预测曲线，以及相应的预测误差曲线和态势均值曲线；当计算时间要求短时，选择基于曲线轮廓相似性的感知算法来预测未来时间段的态势值。

上面结合附图对本发明的实施例进行了描述，但是本发明并不局限于上述的具体实施方式，上述的具体实施方式仅仅是示意性的，而不是限制性的，本领域的普通技术人员在本发明的启示下，在不脱离本发明宗旨和权利要求所保护的范围情况下，还可做出很多形式，这些均属于本发明的保护之内。

Claims (6)

1.基于时间序列的网络安全态势感知系统，其特征在于，包括数据预处理模块(1)、态势分析模块(2)和态势预测模块(3)，其中：

所述数据预处理模块(1)，用于收集不同来源的数据集，得到包含漏洞数据、系统运行数据、攻击事件数据和资产数据这四类不同来源的数据集；并从中提取影响网络安全态势的主成分数据，将其通过数据融合技术得到系统中主机的漏洞威胁值；

所述态势分析模块(2)，用于根据提取的设备资产数据进行评估，利用设备的安全类型、主机连接数量和隐私数据量计算其在网络中的重要性，然后结合通过数据融合得到的漏洞威胁值，计算整体网络的安全态势值，并根据时间节点的划分得到网络安全态势值序列，绘制网络安全态势曲线；

所述态势预测模块(3)，用于根据得到的网络安全态势值序列和态势曲线，当要求计算误差小时，选择基于傅里叶曲线拟合的感知算法，来预测未来时间段的态势值，绘制网络安全态势预测曲线，以及相应的预测误差曲线和态势均值曲线；当要求计算时间短时，选择基于曲线轮廓相似性的感知算法来预测未来时间段的态势值；

当要求计算误差小时，选择基于傅里叶曲线拟合的感知算法，即先通过网络安全态势值序列来计算出一条最大拟合程度的傅里叶曲线，然后再利用该曲线的表达式计算未来时间段的态势值，其具体包括以下步骤：

S301、设定时间序列的间隔t，以天、周或月为时间间隔，对一年的时间序列进行划分；

S302、以t为单位统计网络安全态势值，形成以时间间隔点为横坐标，网络安全态势值为纵坐标的坐标点数组；

S303、根据时间间隔t内坐标的数量计算傅里叶拟合的级数n，利用计算机软件进行傅里叶曲线拟合，得到拟合参数a₀，a₁，b₁，…，a_n，b_n和w，从而确定傅里叶拟合公式：

f(x)＝a₀+a₁cos(wx)+b₁sin(wx)+…+a_ncos(nwx)+b_nsin(nwx)

S304、以时间点为横坐标x，上述时间点至少多于4个，少于4个点无法拟合傅里叶曲线，利用傅里叶拟合公式计算得到未来时间点的态势预测值，将所有时间点的态势预测值连接，绘制网络安全态势预测曲线，以及相应的预测误差曲线和态势均值曲线；

当要求计算时间短时，选择基于曲线轮廓相似性的感知算法，即先通过网络安全态势曲线的形状轮廓来找到最相似的两部分样本数据，然后再预测未来时间段态势值的一种算法，其具体包括以下步骤：

S311、设定时间t，即态势曲线的横坐标间距，以天、周或月为时间间隔，根据实际的网络安全态势曲线计算态势序列每个时间间隔t内的曲线片段的梯度，建立梯度表，存储曲线片段的坐标和梯度，梯度计算公式为：

其中，t为时间间隔，e为时间间隔t内的态势值变化量，g为态势曲线梯度；

S312、设定曲线匹配的时间间隔T，T大于时间序列的间隔t，且大小是t的正整数倍，取T_i内坐标数据为样本数据f_i；

S313、使用梯度匹配算法将样本数据f_i的态势曲线L_i与总时间序列的态势曲线L进行匹配，找到匹配度最高的曲线为L_j；

S314、选取曲线L_j下一时间间隔T内的曲线L_j+1为预测曲线，即L_j+1为待测样本f_i的态势预测曲线，得到相应的态势预测值。

2.如权利要求1所述的基于时间序列的网络安全态势感知系统，其特征在于，所述数据预处理模块(1)包括数据采集子模块(1.1)、数据主成分提取子模块(1.2)和数据融合处理子模块(1.3)，具体的：

所述数据采集子模块(1.1)，用于采集包含漏洞数据、系统运行数据、攻击事件数据和资产数据这四类不同来源的数据集；

其中，漏洞数据可通过爬虫的方式从CNNVD、CNVD和CVE等网站采集得到；系统运行数据可由系统主机的日志信息中得到；攻击事件数据可从IDS、防火墙和交换机等设备的日志信息中得到；资产数据是指网络系统中的硬件设备信息和用户资料信息；

所述数据主成分提取子模块(1.2)，用于从漏洞数据、系统运行数据、攻击事件数据和资产数据中提取对网络安全态势分析有用的主成分数据，以提升算法效率，减小模型计算负担；

其中，从漏洞数据中提取漏洞的名称、编号、类型、发布时间、影响设备、威胁等级和商家补丁信息；从系统运行数据中提取IP、端口、协议、指令和网络数据量信息；从攻击事件数据中提取攻击的时间、类型、平台、行为和漏洞利用信息；从资产数据中提取设备的类型、连接数和其中的隐私数据量；

所述数据融合处理子模块(1.3)，用于根据提取的主成分数据类型的不同，取值范围的不同，将各类型数据的取值数值化和归一化，并利用D-S证据理论对数据集进行融合处理，计算某一漏洞对网络中主机等设备的威胁程度，即漏洞威胁值。

3.基于时间序列的网络安全态势感知方法，其特征在于，具体包括以下步骤：

S1、收集不同来源的数据集，提取影响网络安全态势的主成分数据，将其通过数据融合技术得到系统中主机的漏洞威胁值，并按照漏洞类型分类，得到主机中每类漏洞的威胁值；

S2、根据设备的资产信息进行评估，利用设备的安全类型、主机连接数量和隐私数据量计算其在网络中的重要性

然后结合通过数据融合得到的漏洞威胁值E_vi，计算整体网络N的安全态势值E，并根据时间节点的划分得到网络安全态势值序列，绘制网络安全态势曲线，安全态势值E的计算公式为；

其中，H_k为主机；

S3、根据得到的网络安全态势值序列和态势曲线，当要求计算误差小时，选择基于傅里叶曲线拟合的感知算法来预测未来时间段的态势值，绘制网络安全态势预测曲线，以及相应的预测误差曲线和态势均值曲线；当要求计算时间短时，选择基于曲线轮廓相似性的感知算法来预测未来时间段的态势值；所述步骤S3中，当要求计算误差小时，选择基于傅里叶曲线拟合的感知算法，即先通过网络安全态势值序列来计算出一条最大拟合程度的傅里叶曲线，然后再利用该曲线的表达式计算未来时间段的态势值，其具体包括以下步骤：

S301、设定时间序列的间隔t，以天、周或月为时间间隔，对一年的时间序列进行划分；

S302、以t为单位统计网络安全态势值，形成以时间间隔点为横坐标，网络安全态势值为纵坐标的坐标点数组；

S303、根据时间间隔t内坐标的数量计算傅里叶拟合的级数n，利用计算机软件进行傅里叶曲线拟合，得到拟合参数a₀，a₁，b₁，…，a_n，b_n和w，从而确定傅里叶拟合公式：

f(x)＝a₀+a₁cos(wx)+b₁sin(wx)+…+a_ncos(nwx)+b_nsin(nwx)

S304、以时间点为横坐标x，利用傅里叶拟合公式计算得到未来时间点的态势预测值，将所有时间点的态势预测值连接，绘制网络安全态势预测曲线，以及相应的预测误差曲线和态势均值曲线；所述S3中，当要求计算时间短时，选择基于曲线轮廓相似性的感知算法，即先通过网络安全态势曲线的形状轮廓来找到最相似的两部分样本数据，然后再预测未来时间段态势值，其具体包含以下步骤：

S311、设定时间t，即态势曲线的横坐标间距，根据实际的网络安全态势曲线计算态势序列每个时间间隔t内的曲线片段的梯度，建立梯度表，存储曲线片段的坐标和梯度，梯度计算公式为：

其中，t为时间间隔，e为时间间隔t内的态势值变化量，g为态势曲线梯度；

S312、设定曲线匹配的时间间隔T，T大于时间序列的间隔t，且大小是t的正整数倍，根据实际的曲线长度确定合适的匹配时间间隔T，取T_i内坐标数据为样本数据f_i；

S313、使用梯度匹配算法将样本数据f_i的态势曲线L_i与总时间序列的态势曲线L进行匹配，找到匹配度最高的曲线为L_j；

S314、选取曲线L_j下一时间间隔T内的曲线L_j+1为预测曲线，即L_j+1为待测样本f_i的态势预测曲线，得到相应的态势预测值。

4.如权利要求3所述的基于时间序列的网络安全态势感知方法，其特征在于，所述步骤S1具体的包括以下步骤：

S101、采集包含漏洞数据、系统运行数据、攻击事件数据和资产数据的这四类不同来源的数据集；其中，漏洞数据可通过爬虫的方式从CNNVD、CNVD和CVE等网站采集得到；系统运行数据可由系统主机的日志信息中得到；攻击事件数据可从IDS、防火墙和交换机等设备的日志信息中得到；资产数据是指网络系统中的硬件设备信息和用户资料信息；

S102、从漏洞数据、系统运行数据、攻击事件数据和资产数据中提取对网络安全态势分析有用的主成分数据，以提升算法效率，减小模型计算负担；其中，从漏洞数据中提取漏洞的名称、编号、类型、发布时间、影响设备、威胁等级和商家补丁信息；从系统运行数据中提取IP、端口、协议、指令和网络数据量信息；从攻击事件数据中提取攻击的时间、类型、平台、行为和漏洞利用信息；从资产数据中提取设备的类型、连接数和其中的隐私数据量；

S103、根据提取的主成分数据类型的不同，取值范围的不同，将各类型数据的取值数值化和归一化，并利用D-S证据理论对数据集进行融合处理，计算某一漏洞对网络中主机等设备的威胁程度，即漏洞威胁值。

5.如权利要求4所述的基于时间序列的网络安全态势感知方法，其特征在于，所述步骤S103具体的包括以下步骤：

S103a、针对某一漏洞V_i，根据提取的其主成分信息和主机H_k的运行状态信息建立攻防博弈矩阵，得到该漏洞对主机H_k的静态严重性分值S_i，再结合预先规定的该类型漏洞的威胁标准值S，计算漏洞V_i的静态严重性证据S_vi，计算公式为：

S103b、从提取的攻击事件主成分数据中获得一段时间内主机H_k上，被利用漏洞V_i进行攻击的事件数量A_i，统计该时间段内主机H_k产生的总攻击事件数量A，计算主机H_k的攻击信息证据A_vi，计算公式为：

S103c、根据D-S证据理论的识别框架进行证据合成，得到漏洞V_i的威胁值E_vi，E_vi越大表明漏洞V_i对主机H_k的威胁越大，主机越不安全，E_vi的计算公式为：

其中，A_vi为计算主机H_k的攻击信息证据，S_vi为漏洞V_i的静态严重性证据。

6.如权利要求5所述的基于时间序列的网络安全态势感知方法，其特征在于，所述步骤S313中，在使用梯度匹配算法时，其具体方法为：

先利用梯度匹配算法进行样本曲线与总态势曲线的匹配，然后采取从后到前的匹配策略，每次匹配一个曲线片段，并从梯度表中寻找与样本曲线梯度差最小的曲线片段，直至匹配到样本首部，最后将上述曲线片段组合，从中选取总误差最小的完整曲线作为与样本曲线相似度最高的匹配结果。

Images